Неизвестный злоумышленник, предположительно из Китая, использует open-source фреймворки для создания ИИ-агентов, чтобы автоматизировать масштабные атаки на интернет-магазины. По данным компании Gambit, специализирующейся на кибербезопасности, хакер уже похитил данные более 600 тыс. банковских карт.
Автоматизация и низкая стоимость атак позволяют даже низкоквалифицированным злоумышленникам легко компрометировать системы — иногда всего за несколько часов. Основную работу выполняют ИИ-агенты, действующие по кратким инструкциям оператора.
Для поиска целей злоумышленник использовал сервис оценки посещаемости сайтов и инструмент Strix, отдавая приоритет ресурсам с нестандартным ПО — там выше шанс найти уязвимости.
В период с 10 по 15 сентября было инициировано 105 волн атак, успех достигнут как минимум в 27 случаях. С 23 по 31 августа Strix запускался 146 раз против 138 хостов, общее время сканирования — 633 часа.
Второй инструмент, Hermes, получил роль «SOUL — Red Team Operator» и 121 навык, 78 из которых напрямую связаны с атаками.
Среди методов: внедрение вредоносного кода в JavaScript-файлы, вставка скриптов на страницы оформления заказа, «отравление» контента в S3/CDN, изменение полей баз данных и Kubernetes-развертываний, использование cron-задач для восстановления скиммера после удаления.
Средняя стоимость атаки на одну компанию составила $25,46, разброс — от $3,13 до $79,31. Кампания ведётся минимум с июля и продолжается по состоянию на 22 сентября.
Всего заражено не менее 119 сайтов. Среди жертв — компания из списка Fortune 500 в сфере гостиничного бизнеса, крупная авиакомпания США, дистрибьютор промышленных товаров и интернет-магазин одежды.
Аналитики Gambit нашли аккаунт злоумышленника в OpenRouter: за четыре недели к 25 августа было потрачено $7005,71. Общие затраты на кампанию оценивают в $12–18 тыс.
Агентам также давалась команда удалять украденные данные карт из баз Magento порциями после эксфильтрации — это приводило к сбоям в работе ряда розничных компаний из-за потери данных.
В Gambit предупреждают: организациям стоит учитывать не только риск кражи данных, но и риск их потери из-за процедуры «зачистки», которую запускает злоумышленник после атаки.